"Wir sind Schweizer, der AI Act gilt für uns nicht." Das ist der Satz, den ich am wenigsten gern am Tisch eines Fonds hören würde, der ein Startup mit Kunden in der EU bewertet. Er ist halb wahr, und die falsche Hälfte ist die teure.
Beginnen wir mit dem, was tatsächlich stimmt. Die Schweiz ist kein EU-Mitglied und hat die Verordnung (EU) 2024/1689 nicht übernommen. Derzeit gibt es kein schweizerisches KI-Spezialgesetz — der anwendbare Rahmen bleibt der allgemeine: Datenschutz, Produkthaftung, Immaterialgüterrecht, Arbeitsrecht. Am 12. Februar 2025 legte der Bundesrat die Richtung fest, die er einschlagen will, und sie ist bewusst zurückhaltend: die Schweiz als Innovationsstandort stärken, Grundrechte und öffentliches Vertrauen schützen, und dabei sektorielle Regulierung und nicht bindende Massnahmen (Selbstdeklaration, branchengeführte Lösungen) einem horizontalen Gesetz europäischer Prägung vorziehen.
Am 27. März 2025 unterzeichnete die Schweiz in Strassburg die Rahmenkonvention des Europarats über künstliche Intelligenz, Menschenrechte, Demokratie und Rechtsstaatlichkeit. Unterzeichnet, nicht ratifiziert. Die Ratifikation erfordert die parlamentarische Zustimmung und kann bei entsprechendem Begehren in einem Referendum enden. Der aktuelle Auftrag lautet, dass das Eidgenössische Justiz- und Polizeidepartement gemeinsam mit weiteren Departementen bis Ende 2026 einen Vorentwurf zur Umsetzung der Konvention erarbeitet — mit Schwerpunkt auf Transparenz, Datenschutz, Nichtdiskriminierung und Aufsicht — und ihn in die Vernehmlassung gibt. Mit anderen Worten: Im besten Fall hat die Schweiz Ende dieses Jahres einen Vorentwurf. Kein geltendes Gesetz.
Vergleichen Sie das damit, wie die EU dieselbe Konvention handhabt: Sie hat sie mit dem Beschluss (EU) 2026/1080 des Rates vom 21. April 2026 unterzeichnet und wendet sie innerhalb der Union ausschliesslich über die Verordnung 2024/1689 und den übrigen bestehenden Besitzstand an. Die EU muss nicht erneut legislieren — sie hat das Vehikel bereits. Die Schweiz braucht eines, und dieses Vehikel existiert noch nicht.
Das einzige Instrument mit Zähnen ist heute in der Schweiz das Datenschutzgesetz. Das revidierte DSG, in Kraft seit dem 1. September 2023, erwähnt KI nicht namentlich, doch sein Artikel 21 ist in der Praxis die wichtigste rechtliche Bremse für eine automatisierte Entscheidung, die eine Person betrifft: Wer Daten bearbeitet, muss über jede Entscheidung informieren, die ausschliesslich auf einer automatisierten Bearbeitung beruht und rechtliche oder erhebliche Folgen hat, und die betroffene Person hat Anspruch darauf, dass ein Mensch diese Entscheidung überprüft. Das ist ein Ansatz von Transparenz und Überprüfung, kein Verbot — dem Geist nach näher an einer Informationspflicht als an der Logik von Artikel 22 DSGVO, der von einem Verbot mit Ausnahmen ausgeht.
Warum das die technische Due Diligence eines Schweizer Startups mit EU-Kunden verändert
Der Fehler besteht nicht darin anzunehmen, die Schweiz reguliere wenig — das stimmt und wird eine Weile stimmen. Der Fehler besteht darin anzunehmen, "in der Schweiz wenig reguliert" bedeute "wenig exponiert". Der AI Act hat einen breiteren räumlichen Anwendungsbereich als die DSGVO: Artikel 2 greift nicht nur, wenn der Anbieter in der EU sitzt, sondern wenn der Output des Systems innerhalb der Union verwendet wird, unabhängig davon, wo das Unternehmen ansässig ist. Ein Zürcher Startup, das ein Werkzeug zum Screening von Bewerbenden an einen Kunden mit Betrieb in Deutschland verkauft, fällt nicht wegen seines Schweizer Passes aus der Verordnung. Es fällt hinein — obwohl dasselbe Werkzeug in der Schweiz keine vergleichbare Pflicht auslösen würde.
Was das an einem Bewertungstisch bedeutet
Die zu stellende Frage lautet nicht "Sitzt das Unternehmen in einem Land, das KI reguliert?". Sie lautet: "Wo wird der Output seines Systems verwendet?" Schliesst die Antwort die EU ein, kann die regulatorische Exposition eines Schweizer Startups praktisch identisch sein mit der eines Unternehmens mit Sitz in Frankfurt — mit dem Unterschied, dass das Schweizer Team sie mit höherer Wahrscheinlichkeit nicht antizipiert hat, gerade weil es zu Hause noch niemand von ihm verlangt hat.
Zweiter Punkt: Auch der europäische Zeitplan hat sich verschoben, und das ist bei der Planung des Compliance-Fahrplans jedes Portfoliounternehmens zu berücksichtigen. Die Verordnung (EU) 2026/1744, in Kraft seit dem 27. Juli 2026, hat die vollständigen Pflichten für Hochrisikosysteme auf den 2. Dezember 2027 verschoben. Das verschafft Spielraum — aber nur jenen Startups, die bereits begonnen haben, ihre Systeme zu klassifizieren. Wer das nicht getan hat, kommt 2027 genauso zu spät wie 2026.
Drittens: Nicht alles, was in der EU aufgeschoben wurde, ist im Rest der Analyse aufgeschoben. Die Transparenzpflichten aus Artikel 50 — dass eine Person weiss, dass sie mit einer KI spricht, dass synthetische Inhalte eine erkennbare Kennzeichnung tragen — gelten seit dem 2. August 2026. Jedes Schweizer Startup, dessen Produkt einen Chatbot enthält oder öffentlich sichtbare Inhalte in der EU erzeugt, hat diese Pflicht bereits aktiv, unabhängig davon, ob je ein schweizerisches Pendant kommt.
Im Kern ist das dieselbe Art von Frage, die ich in meinen eigenen technischen Due-Diligence-Berichten stelle: Es genügt nicht zu fragen, was ein Unternehmen über sich selbst sagt. Man muss fragen, welches regulatorische Risiko es nicht erwähnt, weil es annimmt, es betreffe ihn nicht — und das gegen den Ort prüfen, an dem seine Endnutzerinnen und Endnutzer tatsächlich leben, nicht gegen den Ort seines Handelsregistereintrags.